Acord de prelucrare a datelor (DPA)

Ultima actualizare: 20 august 2026

Acest acord se încheie între ARCTIC MAG S.R.L. (CUI 48130587, Str. Popasului nr. 78, bl. A, sc. 1, et. 2, ap. 9, Voluntari, jud. Ilfov, România) — în calitate de persoană împuternicită (procesator) — și magazinul client care folosește serviciul Dimi — în calitate de operator. Acordul completează Termenii și se aplică prelucrării datelor cu caracter personal ale vizitatorilor magazinului.

1. Obiectul și durata

Procesatorul prelucrează date personale în numele operatorului, exclusiv pentru a furniza serviciul de asistent de chat, pe durata contractului dintre părți.

2. Natura și scopul prelucrării

Operarea widget-ului de chat: gestionarea conversațiilor, identificarea sesiunii vizitatorului, afișarea în timp real a vizitatorilor aflați pe site, generarea de răspunsuri (inclusiv AI), statistici și, după caz, tichete de suport.

3. Categorii de date și de persoane vizate

• Persoane vizate: vizitatorii site-ului operatorului.
• Date: identificator de sesiune, mesaje din conversații, pagini vizitate, sursă/UTM, eventual nume și email lăsate de vizitator, date tehnice (IP, browser).
• Prezența pe site (înainte ca vizitatorul să deschidă chatul): un identificator temporar calculat pe serverul procesatorului din adresa IP și tipul de browser, cu o cheie care se schimbă zilnic. Adresa IP nu se stochează, iar în dispozitivul vizitatorului nu se scrie nimic.

4. Obligațiile procesatorului

• Prelucrează datele doar conform instrucțiunilor documentate ale operatorului (inclusiv acest acord).
• Asigură confidențialitatea: persoanele autorizate s-au angajat la confidențialitate.
• Implementează măsuri tehnice și organizatorice adecvate (criptare secrete, hashing parole, izolarea datelor între magazine, 2FA opțional, jurnale).
• Asistă operatorul la îndeplinirea cererilor persoanelor vizate (acces, ștergere, portabilitate) — funcții disponibile în aplicație.
• Notifică operatorul fără întârziere nejustificată în caz de încălcare a securității datelor.
• Asistă operatorul la îndeplinirea obligațiilor din art. 32–36 GDPR: securitatea prelucrării, notificarea încălcărilor către autoritate și către persoanele vizate, evaluarea impactului asupra protecției datelor (DPIA) și consultarea prealabilă a autorității, ținând cont de natura prelucrării și de informațiile de care dispune.
• Informează imediat operatorul dacă, în opinia sa, o instrucțiune primită încalcă GDPR sau alte dispoziții privind protecția datelor.
• La încetarea serviciului, șterge sau returnează datele, conform alegerii operatorului (ștergerea contului elimină datele).
• Pune la dispoziție informațiile necesare pentru demonstrarea conformității și permite audituri rezonabile.

5. Obligațiile operatorului

Operatorul stabilește scopurile și temeiurile juridice ale prelucrării, se asigură că persoanele vizate primesc informarea cerută de lege și transmite procesatorului doar instrucțiuni conforme cu legislația aplicabilă privind protecția datelor.

6. Subîmputerniciți (subprocesatori)

Operatorul acordă o autorizare generală pentru folosirea următorilor subprocesatori, care intervin în prelucrarea datelor vizitatorilor: găzduire și bază de date — OVHcloud, cu serverul în Germania (Uniunea Europeană); furnizorul este Hebergement OVH Inc., Canada; furnizor AI — OpenAI; email tranzacțional — Brevo (Sendinblue SAS, Franța) (notificările trimise magazinului pot conține mesajul lăsat de vizitator și, dacă acesta le-a completat, numele și adresa lui de email).

Procesatorul informează operatorul înainte de adăugarea sau înlocuirea unui subprocesator și îi lasă un termen rezonabil pentru a formula obiecții motivate privind protecția datelor. Dacă obiecția nu poate fi rezolvată, operatorul poate înceta serviciul pentru partea afectată, fără penalități. Procesatorul rămâne răspunzător pentru subprocesatorii săi.

Procesatorul de plăți nu este subprocesator în acest acord: el prelucrează datele de facturare ale operatorului, nu datele vizitatorilor. Vezi Politica de confidențialitate.

7. Transfer internațional

Dacă un subprocesator prelucrează date în afara SEE, se aplică garanții adecvate (ex. clauze contractuale standard).

8. Durata de păstrare

Datele se păstrează pe durata folosirii serviciului; documentele financiare pe durata prevăzută de legislația aplicabilă. Datele de prezență ale vizitatorilor care nu au deschis chatul (identificatorul temporar și paginile vizitate) se șterg automat după 30 de zile.

9. Răspundere

Răspunderea fiecărei părți este guvernată de Termeni și de legislația aplicabilă privind protecția datelor (GDPR / Regulamentul UE 2016/679).

10. Contact

ARCTIC MAG S.R.L. · Str. Popasului nr. 78, bl. A, sc. 1, et. 2, ap. 9, Voluntari, jud. Ilfov, România · pentru orice întrebare privind protecția datelor: contact@dimiol.com